Permisos personalizados - IoT Platform - Centro de documentación de Alibaba Cloud

Puede crear una política personalizada para implementar una gestión detallada de permisos.

Contexto

Es posible definir permisos para permitir o denegar operaciones sobre recursos en condiciones específicas. Estos permisos se definen mediante políticas de Resource Access Management (RAM). Para establecer permisos personalizados, cree políticas personalizadas.

Para obtener más información, consulte Create a custom policy. Este tema describe cómo crear una política personalizada mediante la edición de un script en la pestaña JSON de la consola de RAM.

Procedimiento

Inicie sesión en la consola de RAM como administrador de RAM.
En el panel de navegación izquierdo, seleccione Permissions > Policies.
En la página Policies, haga clic en Create Policy.
En la página Create Policy, haga clic en la pestaña JSON Editor.

La página muestra un editor JSON. La plantilla de política predeterminada incluye un elemento Version (establecido en "1") y una matriz Statement. Cada declaración incluye los elementos Effect (con valor predeterminado "Allow"), Action, Resource y Condition. Debe completar los elementos Action y Resource.
Introduzca el siguiente contenido de política en el editor de código y haga clic en Enter the policy content..

Para obtener más información sobre la sintaxis y estructura de las políticas, consulte Policy syntax and structure.
Configure la política en formato JSON. Los siguientes elementos son obligatorios:
- Action: las acciones que desea autorizar. Las acciones de IoT Platform comienzan con iot:. Para obtener más información sobre las acciones y ejemplos, consulte la sección "Definir acciones" de este tema.
- Effect: el tipo de autorización. Valores válidos: Allow y Deny.
- Resource: los recursos a los que desea autorizar el acceso de los usuarios de RAM.
  
  Si desea autorizar a un usuario de RAM a acceder a todos los recursos de su IoT Platform, establezca este parámetro en *.
- Condition: la condición. IoT no admite definiciones de Condition.
Para obtener más información, consulte Permission policy elements.
En el cuadro de diálogo Create Policy, introduzca un policy name y una Description, y luego haga clic en OK.

Definir acciones

Para definir acciones en una política, debe especificar operaciones de API en el elemento Action. Al crear una política para otorgar permisos sobre IoT Platform, especifique las acciones de IoT Platform en el elemento Action. Cada acción de IoT Platform debe comenzar con iot:. Las acciones múltiples deben separarse con comas (,). Puede establecer el valor del elemento Action como un asterisco (*), que funciona como comodín. Para obtener información sobre las operaciones de API de IoT Platform, consulte Mapping of IoT Platform operations and RAM policies.

Los siguientes ejemplos muestran cómo definir acciones.

Especifique una sola operación de API para definir una acción.
```
"Action": "iot:CreateProduct"
```
Especifique varias operaciones de API para definir acciones.
```
"Action": [
"iot:UpdateProduct",
"iot:QueryProduct"
]
```

Especifique todas las operaciones de API de solo lectura para definir acciones, incluidas las que se ejecutan cuando el motor de reglas reenvía los datos de un producto.

{
  "Version": "1", 
  "Statement": [
    {
      "Action": [
        "iot:Query*", 
        "iot:List*", 
        "iot:Get*", 
        "iot:BatchGet*", 
        "iot:Check*"
      ], 
      "Resource": "*", 
      "Effect": "Allow"
    }, 
    {
      "Action": [
        "rds:DescribeDBInstances", 
        "rds:DescribeDatabases", 
        "rds:DescribeAccounts", 
        "rds:DescribeDBInstanceNetInfo"
      ], 
      "Resource": "*", 
      "Effect": "Allow"
    }, 
    {
      "Action": "ram:ListRoles", 
      "Resource": "*", 
      "Effect": "Allow"
    }, 
    {
      "Action": [
        "mns:ListTopic", 
        "mns:GetTopicRef"
      ], 
      "Resource": "*", 
      "Effect": "Allow"
    }, 
    {
      "Action": [
        "ots:ListInstance", 
        "ots:GetInstance", 
        "ots:ListTable", 
        "ots:DescribeTable"
      ], 
      "Resource": "*", 
      "Effect": "Allow"
    }, 
    {
      "Action": [
        "fc:ListServices", 
        "fc:GetService", 
        "fc:GetFunction", 
        "fc:ListFunctions"
      ], 
      "Resource": "*", 
      "Effect": "Allow"
    }, 
    {
      "Action": [
        "log:ListShards", 
        "log:ListLogStores", 
        "log:ListProject"
      ], 
      "Resource": "*", 
      "Effect": "Allow"
    }, 
    {
      "Action": [
        "cms:QueryMetricList"
      ], 
      "Resource": "*", 
      "Effect": "Allow"
    }
  ]
}

Especifique todas las operaciones de API de lectura y escritura para definir acciones, incluidas las que se ejecutan cuando el motor de reglas reenvía datos de un producto.

{
  "Version": "1", 
  "Statement": [
    {
      "Action": "iot:*", 
      "Resource": "*", 
      "Effect": "Allow"
    }, 
    {
      "Action": [
        "rds:DescribeDBInstances", 
        "rds:DescribeDatabases", 
        "rds:DescribeAccounts", 
        "rds:DescribeDBInstanceNetInfo", 
        "rds:ModifySecurityIps"
      ], 
      "Resource": "*", 
      "Effect": "Allow"
    }, 
    {
      "Action": "ram:ListRoles", 
      "Resource": "*", 
      "Effect": "Allow"
    }, 
    {
      "Action": [
        "mns:ListTopic", 
        "mns:GetTopicRef"
      ], 
      "Resource": "*", 
      "Effect": "Allow"
    }, 
    {
      "Action": [
        "ots:ListInstance", 
        "ots:ListTable", 
        "ots:DescribeTable", 
        "ots:GetInstance"
      ], 
      "Resource": "*", 
      "Effect": "Allow"
    }, 
    {
      "Action": [
        "fc:ListServices", 
        "fc:GetService", 
        "fc:GetFunction", 
        "fc:ListFunctions"
      ], 
      "Resource": "*", 
      "Effect": "Allow"
    }, 
    {
      "Action": [
        "log:ListShards", 
        "log:ListLogStores", 
        "log:ListProject"
      ], 
      "Resource": "*", 
      "Effect": "Allow"
    }, 
    {
      "Action": "ram:PassRole", 
      "Resource": "*", 
      "Effect": "Allow", 
      "Condition": {
        "StringEquals": {
          "acs:Service": "iot.aliyuncs.com"
        }
      }
    }, 
    {
      "Action": [
        "cms:QueryMetricList"
      ], 
      "Resource": "*", 
      "Effect": "Allow"
    }
  ]
}

Una vez creada la política, puede vincularla a usuarios de RAM. De este modo, los usuarios de RAM podrán realizar las operaciones definidas en dicha política. Para obtener más información sobre cómo crear y autorizar usuarios de RAM, consulte RAM user access.